América Latina corrige PHP2Shell a la mitad del ritmo del mundo, según LACNIC

América Latina y el Caribe están corrigiendo PHP2Shell, las dos fallas críticas de PHP descubiertas con ayuda de inteligencia artificial, a la mitad de la velocidad del resto del mundo. Al 26 de octubre, cinco días después de publicado el parche, la región tenía corregido el 12,8% de sus servicios PHP con versión identificada, frente al 25,1% a nivel global, según LACNIC, el registro de direcciones de internet de la región, con datos de la firma de ciberseguridad Censys.

El análisis, de Guillermo Pereyra, publicado en el blog de LACNIC, cubre 21 países. Su conclusión: “La región parchea a la mitad del ritmo del resto del mundo”.

Un parche que muchos no pueden aplicar

Las dos cifras cuentan como no corregidos a los servidores en versiones de PHP que ya no reciben arreglos, como la 7.4 o anteriores. Para ellos no hay actualización: hay que migrar. Como Censys no publica ese dato por país, LACNIC no puede decir qué parte del 87% restante de la región puede actualizar y qué parte tiene que migrar.

A nivel mundial, el 73% de los servicios vulnerables corre en ramas de PHP sin parche posible, según LACNIC. La versión más común de internet, la 7.4.33, es una de ellas, y así figura también en el panel de Censys.

Censys advierte dos límites: cerca del 62% de los servicios PHP no muestra su versión y queda fuera del conteo, y algunas distribuciones de Linux corrigen sin cambiar el número de versión, así que parte de los contados como vulnerables puede estar protegida.

El parcheo se frenó y el riesgo subió

Según LACNIC, la mayoría de las correcciones se aplicó el 22 y el 23 de octubre, y desde entonces la curva se aplanó. Los datos diarios del panel de Censys lo muestran: la proporción mundial de servicios corregidos pasó de cerca del 1% el 21 de octubre a casi el 22% el 23, y solo llegó al 25% el 26.

En esos mismos días, el EPSS, un índice que estima la probabilidad de que una falla se explote en los 30 días siguientes, subió al 99,98% y al 99,997% para las dos vulnerabilidades, de acuerdo con LACNIC. Y ese mismo 26 de octubre, la agencia de ciberseguridad de Estados Unidos (CISA) sumó ambas a su catálogo de vulnerabilidades con explotación confirmada: ya no es un riesgo teórico.

Cómo va cada país

Actualización del 7 de noviembre: el panel de Censys, que se actualiza cada hora, muestra que la región mejoró, pero de forma muy desigual. A nivel mundial, el 36,9% de los servicios PHP con versión visible ya está en una versión corregida. Brasil, el país de la región con más servicios de este tipo (unos 856.000), llegó al 41,8%, por encima del promedio mundial.

El resto sigue atrás: Argentina está en 25,7%, Chile en 23,2%, Perú en 15,4%, México en 13%, Colombia en 10,7% y República Dominicana en 3,5%. Censys no publica el historial por país, así que estas cifras no se pueden comparar una a una con las del 26 de octubre.

Qué significa para las empresas de la región

El problema de fondo no es el parche: son los sistemas que llevan años en versiones sin soporte. Cinco preguntas para tu proveedor de hosting o tu equipo de TI:

1. ¿Qué tenemos en PHP 8.1 o anterior? Ahí no hay parche. Pide la lista de sistemas, una fecha de migración y su costo.
2. ¿El parche está instalado o solo prometido? Pide la versión exacta (8.2.35, 8.3.36, 8.4.27 u 8.5.12) o, si tu Linux corrige sin cambiar el número, la constancia del paquete actualizado.
3. ¿Qué pasa el 31 de diciembre? Ese día PHP 8.2 deja de recibir correcciones de seguridad. Si estás ahí, la migración se planifica ahora.
4. ¿Qué medidas aplicaron mientras migran? PHP recomienda mitigaciones parciales, como limitar el tamaño de las solicitudes. Son un puente, no un reemplazo.
5. ¿Cuánto tarda el proveedor en aplicar un parche crítico? Si tu contrato no fija un plazo, esta es la ocasión de agregarlo.

Qué mirar

Si aparecen intrusiones confirmadas en organizaciones de la región, si los equipos de respuesta a incidentes de la región publican lo que ven en sus propias redes, como pidió LACNIC, y si México, Colombia y el resto de los rezagados cierran la distancia con Brasil antes de fin de año.

A partir de información de LACNIC, Censys (panel público de PHP2Shell) y CISA.